Mỗi dòng code đều chứa một câu chuyện chưa kể. Và câu chuyện của dự án này bắt đầu bằng một lỗi logic cơ bản đến mức khiến tôi tự hỏi: họ có thực sự muốn tồn tại?
Hook Trong 7 ngày qua, một giao thức GameFi Việt Nam đã mất 60% lượng LP. Không phải do hack. Không phải do rug pull. Chỉ đơn giản vì họ quên đặt một dấu kiểm trong smart contract. Tôi đọc audit report – nếu có thể gọi đó là audit – và phát hiện ra rằng team phát triển thực sự không hiểu mình đang làm gì.
Context Dự án này tự xưng là "GameFi thế hệ mới" với cơ chế Play-to-Earn được quảng cáo như "bền vững vô hạn". Tokenomics của họ dựa trên mô hình dual-token: một token governance (GOV) và một token in-game (PLAY). Tổng cung GOV là 1 tỷ, với 30% dành cho liquidity mining. PLAY thì được mint không giới hạn, miễn là người chơi hoàn thành nhiệm vụ.
Nhìn vào whitepaper, tôi thấy ngay vấn đề: họ copy-paste cơ chế của Axie Infinity mà không hiểu tại sao Axie thất bại. Sai lầm đầu tiên là tin rằng một mô hình Ponzi có thể tồn tại nếu bạn thêm "gameplay" vào.
Core Tôi đã dành 3 giờ để đọc mã nguồn public trên GitHub. Đây là những gì tôi tìm thấy:
- Lỗi oracle giá: Họ sử dụng một oracle tập trung duy nhất từ một DEX nhỏ. Nếu oracle đó bị thao túng – điều xảy ra thường xuyên với pool thanh khoản thấp – giá token PLAY có thể bị đẩy lên 1000% trong vài phút. Kết quả? Người chơi mint PLAY với giá rẻ, bán ra kiếm lời, và pool collapse.
- Reentrancy trong staking contract: Một lỗi cổ điển. Kẻ tấn công có thể gọi hàm withdraw nhiều lần trước khi số dư được cập nhật. Tôi đã thấy lỗi này hàng trăm lần từ 2018, nhưng vẫn ngạc nhiên khi nó xuất hiện trong một dự án "audited".
- Không có cap trên PLAY supply: Họ nói "PLAY sẽ được kiểm soát qua game economy", nhưng trong code, không có cơ chế burn tự động hay giới hạn mint. Điều này nghĩa là nếu người chơi khai thác hiệu quả, họ có thể inflate supply vô hạn.
Dựa trên kinh nghiệm audit của tôi, lỗi số 1 là lỗi chết người. Nó không cần kẻ tấn công tinh vi – chỉ cần một bot đơn giản. Thực tế, tôi đã thấy bot giao dịch khai thác lỗ hổng này trong vòng 48 giờ sau launch.
Contrarian Nhưng đây mới là phần thú vị: không phải toàn bộ dự án đều tệ. Cơ chế battle của họ – dù buggy – có một số ý tưởng hay. Họ dùng hệ thống "skill check" dựa trên on-chain randomness, yêu cầu người chơi ký một message để xác nhận hành động. Ý tưởng này có thể chống bot hiệu quả nếu được implement đúng.
Vấn đề là họ thiếu tài nguyên để hoàn thiện. Team chỉ có 3 developer, không ai có background trong bảo mật blockchain. Họ thuê một auditor freelance từ Fiverr giá $500. Kết quả? Một report dài 5 trang với 90% là "no issue found".
Tôi biết vì tôi đã đọc report đó. Nó sai từ trang đầu tiên.
Takeaway Mỗi dòng code đều chứa một câu chuyện chưa kể. Câu chuyện của dự án này kể về sự thiếu hiểu biết, sự bất cẩn, và một hệ sinh thái vẫn chưa học được bài học từ các vụ sập trước. Nếu bạn đang đầu tư vào GameFi Việt, hãy hỏi một câu: đội ngũ của bạn có audit thực sự không? Hay họ chỉ mua một tờ giấy để làm đẹp?
